TR-069 e ACS: provisionamento automático de CPE no provedor

Todo provedor que cresce esbarra no mesmo gargalo: a configuração manual do roteador do assinante. Cada instalação vira uma sessão de Winbox, cada troca de senha de PPPoE vira chamado, cada firmware desatualizado vira vulnerabilidade. O TR-069 existe justamente para tirar essa carga das costas do técnico de campo e do suporte. Em vez de tocar em cada CPE na mão, o provedor opera uma plataforma central — o ACS — que provisiona, configura e mantém o parque de equipamentos de forma padronizada. Este artigo explica como isso funciona na prática e onde está o ganho operacional real.

O que é TR-069 (CWMP)

TR-069 é uma especificação do Broadband Forum, também conhecida como CWMP (CPE WAN Management Protocol). Ela define como um equipamento na casa do assinante — ONU, roteador, ONT integrada, repetidor — conversa com um servidor de gerência do provedor. O transporte é SOAP sobre HTTP/HTTPS, e a relação é cliente-servidor: o CPE é o cliente, o ACS (Auto Configuration Server) é o servidor.

Alguns conceitos centrais:

• Data Model: cada parâmetro do equipamento tem um caminho hierárquico, como Device.WiFi.SSID.1.SSID ou InternetGatewayDevice.WANDevice.1.WANConnectionDevice.1.WANPPPConnection.1.Username. Os dois modelos mais comuns são o legado TR-098 (InternetGatewayDevice) e o atual TR-181 (Device:2).
• Inform: a mensagem que o CPE envia ao ACS para se anunciar. Acontece no boot, periodicamente e em eventos específicos (mudança de IP WAN, bootstrap, entre outros).
• RPCs: os comandos trocados na sessão. GetParameterValues, SetParameterValues, Download (firmware ou config), Reboot, FactoryReset e AddObject, entre outros.
• Connection Request: o caminho inverso. Quando o ACS precisa falar com o CPE fora do ciclo periódico, ele dispara um Connection Request e o equipamento abre a sessão.

A sessão é sempre iniciada pelo CPE. Isso é importante para entender o desenho de rede: o ACS não "alcança" o equipamento diretamente como num SSH; ele pede que o CPE ligue de volta.

O problema que o ACS resolve

Sem provisionamento automático, uma instalação típica é manual de ponta a ponta: o técnico configura PPPoE, SSID, senha de Wi-Fi e canais, e anota tudo em planilha (quando anota). Multiplique isso pela rotatividade de equipamentos no parque e o custo fica evidente:

• Inconsistência: cada CPE com um padrão diferente de configuração, o que torna o suporte mais lento e o troubleshooting um exercício de adivinhação.
• Firmware desatualizado: equipamentos rodando versões com bugs conhecidos ou falhas de segurança, sem caminho de atualização em massa.
• Visita técnica para tudo: trocar senha de Wi-Fi, mudar canal por interferência ou aplicar uma correção vira deslocamento físico.
• Sem visibilidade: o provedor não conhece o estado real do parque instalado.

Com um ACS, o zero-touch provisioning vira regra. O assinante liga o equipamento, ele faz bootstrap, contata o ACS, recebe o perfil correto e entra em operação sem que ninguém digite nada nele.

Como funciona o ciclo de provisionamento

O fluxo padrão, do desempacotamento ao serviço ativo:

1. Bootstrap: o CPE novo liga e envia um Inform com o evento 0 BOOTSTRAP. O ACS reconhece que é a primeira conexão.
2. Identificação: o ACS associa o equipamento ao assinante. Isso pode ser por número de série, MAC, OUI ou correlação com a sessão PPPoE/IPoE na borda.
3. Aplicação do perfil: o ACS envia SetParameterValues com o perfil daquele plano ou cliente — usuário e senha PPPoE, SSID, segurança Wi-Fi, parâmetros de TR-104 (voz) quando houver e regras de gerência.
4. Firmware: se a versão estiver fora do padrão, o ACS dispara um Download apontando para a imagem homologada e agenda o reboot.
5. Operação contínua: o CPE passa a enviar Informs periódicos. O ACS coleta dados (sinal óptico da ONU, contadores de interface, status de conexão) via GetParameterValues e pode alterar a configuração a qualquer momento via Connection Request.

A partir daí, operações que antes exigiam visita técnica viram clique: reset remoto de senha de Wi-Fi, troca de canal, reboot, restauração de fábrica controlada e atualização de firmware em lote por janela de manutenção.

Pontos de atenção na implantação

TR-069 resolve muita coisa, mas exige disciplina de engenharia:

• Segurança em primeiro lugar: use HTTPS entre CPE e ACS e exija autenticação no Connection Request. Um ACS exposto ou mal autenticado é uma porta para o sequestro do parque inteiro. Trate as credenciais de gerência com o mesmo rigor de qualquer segredo de infraestrutura.
• Compatibilidade de Data Model: nem todo fabricante implementa TR-069 da mesma forma. Mikrotik, Huawei, ZTE, Fiberhome, Intelbras e Nokia têm particularidades nos caminhos de parâmetros e no suporte a RPCs. Homologue cada modelo antes de colocar em produção.
• NAT e alcançabilidade: como o ACS depende de Connection Request, equipamentos atrás de CGNAT ou em topologias específicas exigem atenção. O STUN (TR-069 Annex G) existe para esse caso; vale planejar desde o início.
• Escala dos Informs: um parque grande gera muito tráfego de Inform. Dimensione o intervalo periódico e a capacidade do ACS para não criar tempestades de conexão, especialmente após quedas de energia que religam muitos equipamentos ao mesmo tempo.
• Convivência com a borda: TR-069 não substitui o BNG nem o RADIUS. Ele complementa. A autenticação e a contabilização de sessão continuam na borda; o ACS cuida da configuração e da gerência do CPE.

Onde isso se encaixa na operação do NOC

O ACS é uma peça do provisionamento, mas o provedor precisa amarrar isso ao restante da operação: inventário de equipamentos, IPAM, monitoramento e documentação. De nada adianta um parque com zero-touch se o NOC não sabe qual CPE pertence a qual cliente, qual firmware está homologado ou onde estão as credenciais de gerência.

É aqui que faz sentido pensar em consolidação. O NetPulse, plataforma de NOC multi-tenant da CloudFace, centraliza inventário/DCIM, IPAM, monitoramento SNMP, documentação e um cofre de credenciais com 2FA — o contexto que cerca o provisionamento de CPE e dá ao operador a visão completa do parque, não só a configuração isolada do equipamento.

Conclusão

Provisionamento automático com TR-069 e um ACS não é luxo de provedor grande: é o caminho para padronizar a instalação, reduzir visita técnica, manter firmware sob controle e operar segurança de verdade. O retorno aparece na redução de chamados e na previsibilidade da operação.

Se você quer estruturar TR-069/ACS no seu provedor — da escolha da plataforma à homologação de fabricantes e à integração com o NOC — a CloudFace atua tanto na consultoria e operação de redes (NOC 24/7, BGP, FTTH, segurança e automação) quanto com o NetPulse. Fale com a gente no WhatsApp para um diagnóstico inicial gratuito do seu cenário, sem compromisso.